Здравствуйте, подхватил вирус .У меня виндовс 7, При зоходе на любой сайт через гугл хром, автоматически перекидывает на другие посторонние сайты, и начинает обновлять эти страницы, пока не закроешь браузер.
-Выполнил инструкции при оформлении заявки.
-Не один из антивирусов не видит вирус.
-КЭШи почистил, не помогает.
-Файл hosts – чистый
Уважаемый(ая) [B]Denkol[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1272\uffive92.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1170\ufive17.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0096\mp1lmq2.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0076\mp130982.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0076\mixhdg.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0069\mmails2.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0068\mtefq2.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0056\mp18982.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0016\mip982.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0016\mip982.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0056\mp18982.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0068\mtefq2.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0069\mmails2.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0076\mixhdg.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0076\mp130982.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0096\mp1lmq2.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1170\ufive17.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1272\uffive92.exe','32');
DelBHO('{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a}');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mp735');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ep185');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','etef5');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','emails5');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mixswd');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','epp1305');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','elmq5');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','uzfive172');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','five922');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
O4 - HKCU\..\Run: [etef5] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0068\mtefq2.exe
O4 - HKCU\..\Run: [mp735] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0016\mip982.exe
O4 - HKCU\..\Run: [ep185] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0056\mp18982.exe
O4 - HKCU\..\Run: [epp1305] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0076\mp130982.exe
O4 - HKCU\..\Run: [mixswd] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0076\mixhdg.exe
O4 - HKCU\..\Run: [emails5] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0069\mmails2.exe
O4 - HKCU\..\Run: [elmq5] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0096\mp1lmq2.exe
O4 - HKCU\..\Run: [five922] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1272\uffive92.exe
O4 - HKCU\..\Run: [uzfive172] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1170\ufive17.exe
[/CODE]
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Search"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Спасибо большое!
Помогло, я очень рад)
Карантин AVZ пуст, присылать не чего.
Вот Диагностика (не знаю имеет ли это уже значение):
1) [LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Delete"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST][B]Внимание: [COLOR="Red"]Для успешного удаления может потребоваться [U]перезагрузка компьютера[/U]!!![/COLOR][/B]
2) Сделайте логи RSIT ([url]http://virusinfo.info/showthread.php?t=115256[/url])
Вообщем сегодня утром вирус вернулся обратно (видимо после перезагрузки).
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Windows\system32\drivers\aq9q3leg.sys','');
DeleteFile('C:\Windows\system32\drivers\aq9q3leg.sys','32');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('aq9q3leg');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
Сделайте новые логи RSIT
Сделайте лог полного сканирования MBAM ([url]http://virusinfo.info/showthread.php?t=53070[/url])
Карантин АВЗ пуст.
Вот логи:
1) Отключите восстановление системы для этого нажмите [B]Пуск[/B] > [B]Пpогpаммы[/B] > [B]Стандаpтные[/B] > [B]Пpоводник Windows[/B]. Кликнуть пpавой кнопкой мыши на "[B]Мой компьютеp[/B]". Выбpать "[B]Свойства[/B]". Вкладка "[B]Восстановление системы[/B]". Поставить птичку на "[B]Запpетить восстановление системных файлов на всех дисках[/B]" Hажать "[B]Пpименить[/B]". Появится сообщение, пpедупpеждающее об удалении всех точек восстановления. Подтвеpдить, нажав "[B]ОК[/B]".
2) Создайте точку восстановления системы для этого нажмите [B]Пуск[/B]=>[B]Все программы[/B]=>[B]Стандартные[/B]=>[B]Служебные[/B]=>[B]Восстановление системы[/B]. В окне Восстановление системы выберете "[B]Создать точку восстановления[/B]" задайте ей имя и нажмите "[B]Создать[/B]".
3) Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).
[CODE]
Обнаруженные ключи в реестре: 3
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
[/CODE]
Проверьте эти файлы на [url=http://www.virustotal.com/index.html]virustotal[/url]
кнопка [b]Выбрать файл[/b] (Choose File) - ищите нужный файл у вас в системе - [b]Открыть[/b] (Browse) - [b]Проверить[/b] (Scan it!). Нажать на кнопку [b]Повторить анализ[/b] (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.
[CODE]
C:\Users\Денис\AppData\Local\Temp\AdobeReader_2126550_105_rar.exe
C:\Users\Денис\AppData\Local\Temp\KMP_3.6.0.87.exe
D:\Downloads\need_for_speed_most_wanted_2005_ps2.exe
D:\Downloads\tfile_org_111504.exe
D:\Games\Counter-Strike 1.6\cstrike\sound\radio\position1.DLL
C:\Windows\system32\drivers\a8jiv4hm.sys
[/CODE]
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
4) Torrent Stream - эта программа вам знакома?
1)Отключил востановление ситемы.
2)Создать точку восстановления не получилось т.к. я отключил востановление ситемы, у меня Windows 7.
3)-Удалил ключи в реестре.
-Проверил файлы на virustotal, вот ссылки:
[url]https://www.virustotal.com/ru/file/f7617edccb3382b40c5690aa4885d6d1e986ad5e3eb77e0e05144edc5dd46831/analysis/1375132655/[/url]
[url]https://www.virustotal.com/ru/file/92bfb3c5c4720794722e09872bad6795d8ea11aadbdce67488c5b5cd110b1b5f/analysis/1375132758/[/url]
[url]https://www.virustotal.com/ru/file/8ac8bb831dd1157e21872ecdafe0b6f4a2b3e68855b3288ad3815cea25baed91/analysis/1375132872/[/url]
[url]https://www.virustotal.com/ru/file/35c3eb01050c7cbd149a43ffca313d659a0fb2bbc5ba7fb041c59423b8b3a107/analysis/1375133029/[/url]
[url]https://www.virustotal.com/ru/file/67d0c78f2b6b705d4f146ffebedfd2d79b7cf222b6082ef266f6049575f19ac6/analysis/1375133127/[/url]
4)Torrent Stream-это плагин для просмотра онлайн фильмов. он безопасен.
Я ещё раз повотрю проблему, у меня в гугл хром с сайта каторый я открываю (любой сайт) перекидывает на сторонний сайт (вот этот:[URL]http://altamusica.net/[/URL]) и он начинает бесконечно раз обновлятся.
опера и эксплоер нормально работают. Может ващи коллеги уже решали такую проблему?
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Windows\system32\drivers\a8jiv4hm.sys','');
QuarantineFile('D:\Games\Counter-Strike 1.6\cstrike\sound\radio\position1.DLL','');
DeleteFile('C:\Windows\system32\drivers\a8jiv4hm.sys','32');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('C:\Windows\system32\drivers\a8jiv4hm');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
Попробуйте удалить точки восстановления системы по этой [url]http://windows.microsoft.com/ru-ru/windows7/delete-a-restore-point[/url] инструкции. Затем после удаления точек восстановления создайте новую по этой [url]http://windows.microsoft.com/ru-ru/windows7/create-a-restore-point[/url] инструкции. После всех мероприятий повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).
[CODE]
C:\Users\Денис\AppData\Local\Temp\AdobeReader_2126550_105_rar.exe
C:\Users\Денис\AppData\Local\Temp\KMP_3.6.0.87.exe
D:\Downloads\need_for_speed_most_wanted_2005_ps2.exe
D:\Downloads\tfile_org_111504.exe
[/CODE]
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
+ Сделайте новые логи AVZ и логи RSIT
Удалил точки востановления
Создал новую
Удалил указыные файлы в MBAM
Удалите в MBAM, всё кроме:
[CODE]D:\Games\Counter-Strike 1.6\cstrike\sound\radio\position1.DLL (Malware.Packer.Gen) -> Действие не было предпринято.[/CODE]
Что с проблемой ?
Да все так же с проблемой.
Я запарился уже сканировать.
Можно закрывать тему.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\games\\counter-strike 1.6\\cstrike\\sound\\radio\\position1.dll - [B]Trojan.Win32.Genome.allvh[/B] ( BitDefender: Gen:Trojan.Packed.Heur.ciOeIFfpPdp, AVAST4: Win32:Malware-gen )[/LIST][/LIST]